Los cambios de emergencia pueden alterar fechas, rotar registros, cerrar sesiones y borrar la pista que explicaría una reinfección. Conservar pruebas no significa mantener una web peligrosa en línea: consiste en obtener copias protegidas antes de una limpieza destructiva.
Recoge únicamente lo necesario para delimitar el incidente, recuperar el servicio y atender las obligaciones del negocio.
Inicia una cronología del incidente
Anota el primer aviso, la última hora conocida sin problemas, síntomas, URL afectadas, quién informó y todas las medidas de contención. Utiliza una única zona horaria y separa hechos observados de hipótesis.
Incluye actualizaciones, despliegues, migraciones, nuevos usuarios y alertas recientes del proveedor. Registra cada cambio de credencial o configuración sin escribir el secreto nuevo.
No copies envíos de clientes, datos de pago ni contraseñas en la cronología.
Conserva los registros disponibles
Solicita registros de acceso y errores web, PHP, auditoría de WordPress, panel de hosting, SFTP/SSH, correo y tareas programadas. Documenta su origen, zona horaria y periodo de retención.
Expórtalos a un almacenamiento protegido antes de que roten. Mantén los originales como solo lectura cuando el proceso lo permita. Si necesitas compartir información, trabaja con una copia censurada; no modifiques el original controlado.
Captura archivos y configuración
Crea una instantánea del sistema de archivos que incluya archivos ocultos, reglas del servidor, mu-plugins y configuración relevante situada fuera de la raíz visible de WordPress.
Anota las versiones de WordPress y PHP, la raíz documental, propietarios, permisos y listado de archivos modificados recientemente. Identifica la captura con fecha, origen y checksum cuando sea viable.
No guardes el archivo dentro de public_html ni lo envíes por correo. Una copia completa puede contener credenciales y código ejecutable malicioso.
Exporta la base de datos correcta
Haz una exportación antes de eliminar usuarios, opciones o contenido inyectado. Registra nombre de la base, prefijo de tablas, si es multisitio y método utilizado.
Trátala como información sensible: puede contener cuentas, pedidos, formularios y datos personales. Limita acceso y conservación según los requisitos de la organización. Nunca ejecutes una búsqueda y sustitución general sobre la única copia disponible.
Registra todos los accesos privilegiados
Inventaría administradores de WordPress, contraseñas de aplicación, sesiones activas si están disponibles, usuarios de hosting, claves SSH/SFTP, usuarios MySQL, cuentas DNS/CDN y administradores del correo principal.
Conserva identificadores desconocidos y fechas de creación o cambio antes de revocarlos. No pegues hashes de contraseña ni claves privadas en el informe. Deja constancia de qué acceso se rotó, pero no del nuevo valor.
Conserva tareas y actividad saliente
Registra WP-Cron, Action Scheduler, cron del servidor, cola de correo, eventos recientes del proveedor SMTP y conexiones salientes anómalas. La persistencia puede ejecutarse sin que nadie visite una página.
Guarda identificadores representativos de trabajos y rutas de scripts. No vacíes toda la cola antes de distinguir spam de mensajes legítimos de pedidos o contactos. Tras la captura, contiene cualquier abuso activo.
Captura DNS, CDN y redirecciones
Exporta registros DNS autoritativos, servidores de nombres, reglas o Workers de Cloudflare, redirecciones, usuarios y eventos de auditoría. Conserva la IP de origen de forma privada.
Una alteración puede seguir activa en DNS o CDN después de reconstruir WordPress. Guarda el estado anterior y posterior de cada cambio del plano de control, sin publicar capturas de cuentas ni tokens.
Documenta el impacto empresarial
Enumera checkouts, pedidos, contactos, accesos, descargas, correo y redirecciones afectados. Define el intervalo posible y qué sistema será la fuente válida para reconciliar operaciones.
Si podrían estar implicados datos personales o de pago, activa el proceso legal, de privacidad o del proveedor de pagos. La limpieza técnica no sustituye esa evaluación. No afirmes que se accedió —o no— a datos sin evidencias.
Registra quién recopiló, copió y consultó cada paquete. Incluso sin una investigación forense formal, una cadena sencilla evita confundir originales y copias de trabajo.
Prepara el inventario de recuperación
Lista las fuentes fiables del núcleo, plugins, temas, desarrollo propio y copias conocidas. Anota licencias y responsables sin incluir claves. Decide qué se reconstruirá, qué contenido debe revisarse y qué secretos requieren rotación.
Mantén la instantánea infectada separada de la nueva raíz documental. Si los registros duran poco o hay varios sistemas implicados, solicita la reparación antes de perderlos y comparte solo un inventario censurado mediante acceso gestionado.